כל בעל עסק שרוצה להקים אתר (או רוצה שהאתר שלו יתחיל להחזיר את ההשקעה ואולי להרויח ממנו איזה שקל ורבע) שילך להתייעץ עם מקדם אתרים יקבל בד”כ את אותה תשובה: צריך לעשות ניתוח לאתר ולעסק. לראות מה אתה מוכר, למצוא מילות מפתח, להתאים את האתר שלך כך שיפעל בצורה נורמלית בדפדפנים שהם לא אקספלורר, להכניס תוכן לאתר שלך, למצוא קישורים חיצוניים, להוציא קישורים מהאתר החוצה ועוד ועוד. זה (על קצה המזלג) קידום אתרים.

הבעיה המרכזית: רוב מקדמי האתרים מגיעים מתחום המחשבים. מבחינתם מדובר במשהו טכני גרידא והמטרה הסופית שלהם, היא לגרום לגוגל להציג אותך בדף הראשון (או בחמישיה הפותחת) בחיפוש מילות מפתח. כך לדוגמא, אם העסק שלך מוכר טבעות נישואין (וכפי הנראה גם טבעות אירוסין), מקדם האתרים יעשה הכל (בהתאם לידע ולנסיון שלו) כדי שהאתר שלך בחיפוש “טבעות נישואין” ו”טבעות אירוסין” יופיע בתוצאות הראשונות. כך כמובן אתה תקבל חשיפה ללקוחות חדשים ואולי גם תסגור כמה עסקאות נחמדות.

יש עוד סוג קידום שיכול לעזור, וכאן גם מופיעה בעיה מרכזית, ואולי מי מהקוראים יחשוב עליה כהזדמנות “לכבוש”..

הקידום שאני מדבר עליו נקרא “קידום מותג”. מהו אותו מותג? זה כבר תלוי בעסק. זה יכול להיות שם העסק כמותג, זה יכול להיות מוצר יחודי, שרות יחודי וכו’.

אתן דוגמא אישית: כשהקמתי את העסק שלי להשכרת שרתים וירטואליים (VPS), היה לי תקציב קטן. רובו המוחלט של התקציב הלך לטובת שרתים ושאר ירקות הקשורים להקמת העסק. מה עושים אחרי שמקימים עסק? מפרסמים אותו בפורומים שונים, רק שכאן זה ישראל, ומנהלי פורומים רבים הם לא יותר מאשר ילדים או מבוגרים בהתנהגות ילדותית שחוסמים פרסום (גם אם הוא פרסום קל או אגבי) גם במקומות בהם מותר פרסום. בנוסף, במקרה שלי הטיפוס היה מאוד בעייתי: יש כמה חברות גדולות ועשרות ילדים עם שרת ורבע שעושים כל טריק על מנת להתקדם בדירוג של גוגל (אתם יכולים למצוא שמדובר בילדים באתרים עצמם, מהר מאוד תמצאו שגיאות כתיב בשפע), גם גוגל לא בדיוק מסייע לאתרים חדשים לטפס למעלה מהר.

לתומי חשבתי שאם אפנה למקדמי אתרים הם יוכלו לסייע תמורת תשלום כלשהו, אולם לאחר כמה שיחות עם מקדמי אתרים, התשובה שלהם היתה: זה תחום מאוד תחרותי והסיכוי שלך להימצא במקומות הראשונים, נמוך. זה אפשרי, אבל יש צורך בכך וכך אלפי שקלים פר חודש למשך מספר חודשים רב.

כמה שבועות לאחר שפתחתי את העסק, נפגשתי עם חבר ותיק, בחור “פטיש” בתחום הפרסום. ביקשתי ממנו טיפ מרכזי שיעזור לי להתקדם ואיכשהו למכור יותר. הבחור, לאחר שהזדעזע קלות מהאתר (תודה SHOPY) נתן לי טיפ חשוב.

הטיפ? “תקדם את המותג חץ ביז בכך שתגרום לאנשים לזכור אותו ולשייך אותו לתחום העיקרי שאתה מוכר. אתה מוכר בעיקר שרתי VPS? גרום לאנשים לשייך בראש VPS=חץ ביז. חושב על VPS במחיר נמוך עם שרתים בארץ ובעולם? חושב על אחסון אתרים במחיר זול עם פונקציונאליות נוספת? קפוץ לאתר של חץ ביז”

הטריק עבד.. חלקית.

הצלחתי להחדיר את המותג חץ ביז בכל מיני פורומים, אך מכיוון שלא היה לי כיוון או ידע לאן אני צריך להחדיר, ניסיתי את כל האופציות, מה שגרר המון “פניות-שווא”. מה הכוונה פניות-שווא? אלו פניות מילדים שבטוחים שהם מקימים את הפייסבוק הבא ולכן הם מבקשים “תן לי שרת ב-20 שקל וכשזה יצליח תקבל אחוזים שיהיו שווים אלפי שקלים”, או “אני רוצה שרת משחק”, ילדים שמבקשים אחסון לאתרי הורדות/סרטים/Seed Box וכו’, כלומר קהל לקוחות שיכול לערער לך את התשתית מבלי שתרוויח כלום.

לקח לי זמן להבין שקידום המותג הכי טוב צריך להיות מול הלקוחות שאני מחפש שיהיו לעסק, כלומר אני צריך למצוא אתרים ומקומות שאותם לקוחות פוטנציאלים נמצאים בהם ולא להשקיע פרסום בכל מקום שבו מוזכר המושג VPS לדוגמא. פורומים של אתרי משחקים והורדות יביאו מתעניינים לא רציניים, אז שם לא כדאי לפרסם. פורומים של בוני אתרים ומתכנתים לדוגמא – שם כן כדאי להשקיע, וזה בהחלט הביא לקוחות רציניים וההשקעה היתה שווה.

זו בדיוק הנקודה שחסרה פה בארץ, את אותם אנשים שיודעים לקדם מותג ואינני מדבר על משרדי פרסום (משרדי פרסום לא “מסתכלים” עליך אלא אם תביא להם סכומים מאוד רציניים. הפעם האחרונה שביררתי עבור העסק שלי, דיברו על 70,000 שקל. סכום קצת גבוה מדי בשבילי) אלא אנשים שמגיעים מתחום הפרסום והשיווק (לאו דווקא מתחום SEM). אדם כזה לדוגמא היה יכול לבנות ללקוח שלו מיתוג ולהמליץ למקדם האתרים של אותו לקוח מה כדאי לעשות ואיך כדי להחדיר את המותג.

כל מה שנאמר כאן לא בא להחליף את קידום הדירוג בגוגל ובמנועים אחרים, אלא דבר שמשלים ויכול לעזור לבתי עסק רבים שיש להם מותג – לקדם אותו ולגרום לאחרים לשייך אותו בזכרונם למוצר שהם מוכרים.

מישהו חושב להרים את הכפפה?

כל מי שלא בילה את הלילה האחרון מתחת לאיזה סלע בוודאי כבר שמע על הפריצה של פורצים סעודים (ריבונו של עולם – "האקרים" אלו אנשים שמשנים את הקוד "קראקרים" – אלו הם האנשים שפורצים, כרגיל בעיתונות טעו) שפרצו לאתר מסויים ומשם פרצו לאתר אחר וגנבו משם פרטים של 400,000 כרטיסי אשראי. רוב פרטי האשראי היו כבר פגי תוקף, אבל עדיין נשארו כמה אלפי כרטיסים תקינים.

כרגיל, כשפורצת שערוריה, כולם מאשימים אחד את השני: חברות האשראי מאשימות את חברות האחסון, חברות האחסון מאשימות את הלקוחות שלקחו אצלם אחסון, הלקוחות מאשימים את חברות האחסון ואני משער שישנם עוד כמה גורמים בדרך.

אז תרשו לי כאדם פרטי שאבטחת מידע סופר חשובה לו על כך להצביע בבירור על האשמים: למעט הלקוחות הפרטיים (הגולשים) כולם אשמים בצורה זו או אחרת. ברשותכם, אפרט:

חברות כרטיסי האשראי

עד לפני מספר חודשים, יכלת לאחסן את האתר המסחרי שלך באחסון משותף, יחד עם הלקוחות הצעירים שמריצים שרתי משחקים, Warez ועוד שרתים שממש מהווים מטרה לפריצה, ומבחינת חברת האשראי כל מה שהיית אמור לעשות זה לרכוש תעודת SSL בכמה עשרות דולרים (או פחות), הפקידה בחברת האשראי היתה נכנסת לאתר שלך כדי לבצע קניית דמה, מוודאת שיש איזה מנעול כלשהו בדפדפן והיית צריך להבטיח שאתה תהיה "ילד טוב" ושתצפין את נתוני האשראי שלך – וזהו, קיבלת מספר סולק.

שוחחתי בעבר עם אחד מאנשי האבטחה של חברות האשראי והדגמתי לו כמה הדבר מגוחך לחלוטין: הרמתי אתר דמה של מוצרים למבוגרים, וקישרתי את המוצרים קישור עקיף לחנות פורנו שהסליקה שלה היתה מה שסטנדרטי באתרי פורנו: CCBill, כך שמבחינתה כשהיא היתה לוחצת על מוצר ועושה Checkout, היא היתה מגיעה לסליקה של CCBill שעליו כמובן יש מפתח SSL. העלתי את איש האבטחה על הקו, עשינו שיחת ועידה, ביקשתי שישתוק ויראה אם אני מקבל אישור או לא.

לקח בערך דקה אחת לקבל אישור. אפילו לא קניתי תעודת SSL ומבחוינת אותה חברת אשראי אני יכול לסלוק כרטיסים בלי שום בעיה ואף אחד לא בודק לי את הקוד, את ה-DB ושום דבר אחר. מבחינתן, כל עוד אני משלם דמי חבר ומשתמש בשרותיהן, אין שום בעיה, ואף אחד לא יבדוק אם אני מאחסן את פרטי כרטיס האשראי כקובץ טקסט, CSV פשוט או כל פורמט שילד בן 6 יכול לקרוא.

רק לאחרונה החלו חברות האשראי להתעקש על תקן PCI, אבל אם אתם חושבים שזה יעזור, טעות בידכם ותיכף ארחיב על כך.

חברות הסליקה

אין לי מושג אם טרנזילה מוגנת באמת או לא (אני מאמין שכן), אבל בעבר הוכחתי פה שחור על גבי אתר איך חברה שטוענת שהמידע של הלקוחות מוצפן (ושיש לה תקן PCI) משקרת במצח נחושה ללקוחותיה וללקוחות פוטנציאלים, ואני די בטוח שהם לא היחידים, ומכיוון שאותה חברה (ומספר חברות אחרות) מציעות אפליקציות שמבוססות על מיקרוסופט Access, הפורץ לא יצטרך לעבוד קשה מדי כדי לפרוץ קבצי MDB כי בברירת המחדל הם אינם מוצפנים.

חברות אחסון האתרים

אין לי רצון להאשים חברת אחסון מסויימת, אבל אני חזרתי בבלוג העסקי של העסק שלי שוב ושוב על אותה נקודה: אתה רוצה אבטחה ברמה רצינית? אחסון משותף אינו פתרון ואני אומר את זה כאחד שמגדיר את השרתים האלו. מבחינה טכנית, בסופו של דבר מה שמבדל לקוח אחד מלקוח שני זה בסך הכל UID ו-GID באחסון המשותף וזהו. האבטחה באחסון משותף (ולא חשוב מי הספק) אינה יכולה להיות מקסימלית (כמו בשרת VPS או שרת יעודי) בגלל כל מיני גורמים שצריך להתחשב בהם כדי לתת ללקוח אחסון משותף. לצערי חברות רבות המוכרות שרותי אחסון משותף (כולל בוני אתרים רבים שמוכרים את זה כ"ריסלר" בחבילות שלהם) מבטיחות דברים שאי אפשר לקיים ומי שמבטיח "אבטחה מקסימלית" על אחסון משותף – רק מטעה את לקוחותיה.

בוני אתרים

במדינת ישראל ישנם הרבה מאוד שמציעים שרותי בניית אתרים (או "בניית אתרים" כשמדובר על התקנת ג'ומלה/וורדפרס/דרופל, עיצוב, 4-5 שינויים ב-CSS וזהו – הוא "בונה אתרים"), אך לרבים מהם אין מידע כלל או מידע מספק על אבטחת האתר שלהם, כי מי מבוני האתרים מספיק אמיץ לאמר ללקוח "תשמע, אני לא הכי מומחה באבטחת מידע ולכן צריך לשכור מישהו שיעבור על הקוד ובסיס הנתונים ולאבטח את הכל"? אף אחד, אז בעל האתר חושב שהוא מאובטח בשעה שהוא פשוט לא..

אני רוצה לאמר משהו נוסף על חברות האשראי בארץ.

חברות האשראי נסמכות עכשיו על ה-דבר: תקן PCI לאבטחת מידע של כרטיסי אשראי. יש לי חדשות בשבילכם: זה לא יעזור. תמיד יהיה המתכנת הפוץ שלא מבין בסולאריס או לינוקס והשאיר את הסקריפט שמחייב את הלקוחות בחיוב החודשי עם הרשאות 666 ושהסיסמא ל-DB בתוך הסקריפט (תאמינו לי, ראיתי את זה ולא פעם אחת!) אז פורץ שימצא את הסקריפט הזה ולא חשוב כמה הצפנות קשיחות יהיו לבסיס הנתונים – יוכל בקלות לשאוב את הנתונים, לארוז אותם בקובץ zip ולהעביר אותם לעצמו. לא מאמינים? תנחשו איך גנבו לחברת Stratfor את המידע (וכן, הם עברו תקן PCI) עם מספרי כרטיסי אשראי בערב חג המולד…

לצערי הרב, חברות האשראי בארץ עדיין עובדות כאילו הן נמצאות בשנות ה-90, וכשמסתכלים על Paypal בחו"ל לשם השוואה, זה נראה כאילו מדובר במסע בזמן. ישראכרט לדוגמא, ישמחו לתת ללקוחותיהם Isracard Web, כרטיס וירטואלי עם 16 ספרות, אבל הם לא מצמידים את מספר הכרטיס לחשבון, אלא דורשים שהלקוח יפקיד סכום מסויים והסכום הזה "נתקע" באותו כרטיס וירטואלי. אם שמת 600 שקל והשתמשת ב-300, אז 300 תקועים בכרטיס מבלי שתוכל לעשות שימוש אחר זולת שימוש באותו כרטיס וירטואלי. מה אם בקניה הבאה תצטרך 380 במקום 300? תעבור את התהליך מחדש. פתרון מטומטם או לא?

גם כא"ל ולאומי קארד לא יוצאים חכמים בכל העסק. מדוע שאותן חברות לא יציעו לחברות מעין אחסון פרטי של דפי אתר סליקה ובכך כל המידע על הכרטיסים ישאר עדיין במקום בטוח יחסית (חברות האשראי עצמן)? הרי לא מדובר פה ב"קטילה" של הסולקים האחרים, אפשר לתמחר את זה במחיר שיהיה פחות או יותר אותו דבר, וכך הלקוח לא יצטרך לשבור את הראש בין הסולק, שב"א, חברת אשראי והלקוחות הגולשים. אני לא שמעתי את חברות האשראי עושות או אפילו מדברות על כך.

ובכלל, היכן אותם מערכות "ניהול סיכון" של חברות האשראי? איך לא נדלקו הנורות האדומות שכרטיסים ישראליים מבקשים אישורים לעסקאות שמזין מספר הכרטיס מגיע מ-IP בסעודיה או במדינות אחרות בשעה שרוב מוחלט של העסקות האלו נעשה מ-IP ישראלי?

ועוד נקודה שחשובה לכם הקוראים שחברות האשראי לא כל כך מהר יספרו לכם: אם האקר ערבי גנב את מספר כרטיס האשראי שלכם והשתמש בו לפני שחברת האשראי חסמה את הכרטיס, אתם לא תקבלו את כספכם חזרה אם לא תבדקו את החשבונות שלכם ותציינו בפני הנציגים (שאולי יענו לכם יום אחד, כרגע יש המון ניתוקים.. אחלה מערכות טלפוניה!!) עסקאות שלא ביצעתם. במילים אחרות – כנסו מהר לאתרים של חברת האשראי שלכם ובדקו עסקאות.

מה ניתן לעשות להבא? כמה דברים פשוטים:

• חשבון Paypal (מישהו יודע אם כא"ל גמרו את משחקי העמלות כפולות מול Paypal?) – פעם אחת מזינים את מספר הכרטיס, עוברים תהליך אישור כרטיס ובפעם הבאה שאתם רוכשים, תבחרו באופציה של Paypal. את העמלה אתם לא משלמים, אלא הסוחר משלם. מספר הכרטיס שלכם לא עובר לשום סוחר, וניתן גם להתחרט ולהתלונן אם יש לכם בעיה עם עיסקה. אני חייב לציין לטובה את השרות בעברית שלהם בטלפון.
• אם אתם צריכים לעשות עיסקאות עם אתרים קטנים או כאלו שנמצאים במזרח ואינכם יודעים את טיבם, עדיף להשתמש בכרטיס נטען (שניתן לרכוש בדואר ולהטעין אותו עד 1000 שקל, אולי ויזה כא"ל יתעוררו יום אחד ויאפשרו הטענות חוזרות). במקרים כאלו גם אם משתמשים במספר הזה, הנזק אינו רב.
• מערכות אתרי האשראי התקדמו טיפה לכיוון שנת 2012 ומאפשרות לראות עיסקאות שנעשו ביומיים שלושה האחרונים (מדוע טיפה? בארה"ב אתה רואה את העיסקה עם הפרטים בחשבון האשראי שלך מיידית, אצלנו בארץ כנראה חברות האשראי עובדות עם קומודור 64 כנראה), ולכן מומלץ אחת לשבוע להסתכל ברשימת העסקאות ולאתר עסקאות חשודות.
• בעלי אתרים – כן, ברוב המקרים בונה האתר שלכם מבין באבטחת מידע כמו שאני מבין בהטסת חלליות. תתחילו לחפש אנשים שמבינים היטב באבטחת קוד (SRO? אתה כאן? תשאיר פרטים שלך בטוקבק ולינק לאתר שלך) שיעברו על האתר שלכם ויחסמו דברים פתוחים, יקשיחו סיסמאות וגישות ועוד. אחרי הכל, אתם לא רוצים לראות את הפרטים הסודיים שלכם בידי המתחרים שלכם.

ולבסוף – אולי, אולי יבינו בכנסת ששום מאגר מידע אינו חסין בפני פריצה ובמיוחד לא המאגר הביומטרי שמתחיל לקום! (אדרבא, במקרה של הממשלה עם ערימות קבלני המשנה שקל לשחד אותם בבמבה ובפחית קולה) והרעיון כולו דבילי, אולי אם היו מקשיבים לעדי שמיר (ה-S ב-RSA, גוף מאוד מוכר באבטחת מדי – זה Shamir), אז יכול להיות שיש סיכוי שאפשר לעצור את השגעון הזה בראשות מאיר שטרית. למה ללכת רחוק? רק לפני חודשיים ישיבה החליטה לבדוק אם התלמידים שלה עשו עוון רציני ולמדו (השם ישמור) שיעורי נהיגה. מהיכן המידע נראה לכם?

לא ראיתי התייחסות לדבר הבא בבלוגוספירה הישראלית, ולכן חשבתי שזה רעיון טוב להעלות את הדבר הבא:

בבית משפט השלום בראשון לציון ניתן לאחרונה גזר דין ע"י כב' השופט רפי ארניה ב-ת"פ 6655-03-10 – מדינת ישראל נגד בול-סטאר אינטרקטיב בע"מ ועוד מס' נאשמים. האשמה? "סיוע לארגון ועריכת הגרלות והימורים". חוץ מהחברה האחראית על האתר וההימורים בו, נוספו לרשימת הנאשמים מס' צעירים שבסיוטים הכי גדולים שלהם לא חשבו שהם ימצאו את עצמם בבית משפט פלילי. מה אשמתם? הם תחזקו את אתר ההימורים ובנו לאתר אלמנטים (עיצוב, סקריפטים וכו').

אני מצרף את כתב גזר הדין ואני ממליץ לקרוא אותו לפני ההתייחסות שלי (ותודה ל-חי שהעלה את גזר הדין לפורום בוני אתרים בתפוז)

Court(function() { var scribd = document.createElement("script"); scribd.type = "text/javascript"; scribd.async = true; scribd.src = "http://www.scribd.com/javascripts/embed_code/inject.js"; var s = document.getElementsByTagName("script")[0]; s.parentNode.insertBefore(scribd, s); })();

כפי שניתן לראות, כב' השופט גזר גזר-דין לא קל על נאשמים 5 ו-6, יצחק גולדמן ו-ניר דותן שניהם קשורים לבניית אתרים, כל אחד מהם חטף 9 חודשים על תנאי ל-3 שנים.

תרשו לעבדכם הנאמן לתת לכם קצת רקע מה קורה בישראל מבחינה טכנולוגית: בכל הקשור לפיתוח אפליקציות/אלגוריתמים להימורים (מצד בית הקזינו כמובן) ולפורנו – לישראל יש בהחלט מקום של כבוד. חברות כמו Playtech מייצרת פלטפורמות הימורים, AdGency מייצרת פלטפורמות לפירסומות במשחקי מזל, וכמובן המתחרים כמו 888 מפתחים פתרונות שנמצאים באתרי הימורים המובילים בעולם. בארץ ישנם יותר מ-1000 איש שעובדים על דברים אלו.

פסיקה זו בעצם הופכת כל בונה אתרים, כל גרפיקאי, כל מתכנת, איש SEO וכו' לעבריינים – אם הם עובדים על אתר הימורים גם אם האתר עצמו מיועד לתושבים בחו"ל. כב' השופט מכיר בכך שזו החלטה תקדימית והוא גם מציין זאת בגזר הדין.

אם פסיקה זו לא תיהפך בקרוב, יהיו הרבה פה בארץ שיצטרכו לחשוש לעבודתם, והשאלה היא כמובן לאן זה ממשיך: האם מחר בונה אתרים שיבנה אתר לנערת ליווי (שבעצם עוסקת במקצוע העתיק בעולם) יהיה שותף לדבר עבירת זנות?

מעניין מה המחלקות המשפטיות של אותן חברות יאמרו על פסק דין זה. לעניות דעתי, השלב הזה במלחמה בהימורים עברה כבר גבול סביר. חבל שכב' השופט לא לקח בחשבון את כל אלו שמתפרנסים ביושר מפיתוח טכנולוגי לצרכנים שאינם נמצאים בארץ ואשר אינם רצים על שרתים הנמצאים בשטחי מדינת ישראל.